Summary

  • Nathalie Trenaman 在 2021 年 3 月 18 日的工作组邮件中提出：AS3333 承载 RIPE NCC 的主要服务，包括 LIR Portal。若在此拒绝 RPKI 无效路由，填错 ROA 的会员也许会被挡在修改入口之外。
  • RIPE NCC 最终于 4 月 19 日启用拒绝规则。此前它联系受影响组织、加入面板警告，却没有给门户留暗门，也没有代会员修改 ROA。

修错入口就在被过滤的网络上

ROA 写明某个前缀允许由哪个 ASN 发起，以及最长可宣告到什么长度。数字填错，真实持有人的 BGP 宣告也会变成“无效”。过滤器看不出这是笔误还是劫持。对经营注册服务的 RIPE NCC 来说，风险更直接：AS3333 上有会员用来管理 ROA 的门户。

Trenaman 向 Routing Working Group 发问时，上游网络已经有的拦截、有的不拦截。一边是错误 ROA 可能让会员抵达不了 RIPE NCC；另一边则是一个会员曾因路由被劫持而无法访问其网站。2 月 10 日的检查发现 511 条可能受影响的会员或最终用户宣告。这不是抽象的安全口号，而是服务入口的取舍。

她 4 月 13 日的 RIPE Labs 说明记录，4 月 7 日有来自 215 个组织的 697 条无效路由。RIPE NCC 逐一联系，并在用户即将发布与所见 BGP 不符的 ROA 时弹出警告。她在 5 月 RIPE 82 报告中给出的上线前检查是同样 215 个组织、597 条路由。两个数字属于不同时间的快照，不能硬拼成一笔增减账。

恢复路径没有神秘按钮。RIPE NCC 不为 my.ripe.net 开后门，也不替持有人改 ROA；被挡住的会员须从另一条“有效”或“未知”路由访问。 正式服务通告把启用日期定在 4 月 19 日；5 月报告确认如期上线，随后只收到少量提问，多数关乎如何创建 ROA。K-Root 使用 AS25152，不在此次 AS3333 过滤范围内。

真正有分量的决定不只是按下“拒绝”，而是在按下之前把被挡者的回路说清楚。

来源：3 月工作组邮件；RIPE Labs 原文；服务通告；RIPE 82 报告。